我的网络管理员能否知道我正在使用虚拟路由器在未经授权的设备上访问互联网？

Question

我是一名大学生，我所在大学的网络管理员使用 MAC 地址（1 个 MAC 地址/学生）来授权访问互联网。学生们经常使用虚拟路由软件创建一个热点来连接到他们的其他设备（MAC 欺骗是一种可能的解决方法，但在手持设备上进行欺骗，例如 Android 设备，需要 root 访问权限，这本身就很难获得）。

最近，管理员重新引导所有学生不要使用热点，否则他会惩罚那些不遵守的人（通过从授权的 MACs 数据库中删除学生的 MAC 地址，我想）。我有一种强烈的感觉，他只是在虚张声势。

我的疑问是，管理员是否有可能知道某个设备正在使用虚拟路由连接到其他未经授权的设备？

注：我尝试在网上搜索资源，例如虚拟路由器网络究竟如何，但找不到任何实质性信息。即使有人可以向我指出一些对我有用的资源，我也会很感激。

Answer 1

是的，可以使用无线入侵防御系统识别您对无线热点的使用。

WIPS 的主要目的是防止无线设备对局域网和其他信息资产进行未经授权的网络访问。这些系统通常作为对现有无线 LAN 基础设施的覆盖来实施，尽管它们可以独立部署以在组织内实施无无线策略。一些先进的无线基础设施集成了 WIPS 功能。

Answer 2

除了通过 WLAN 流量（“warwalking”？）在物理上跑来跑去和检测热点之外，或者可能使用现有的路由器进行检测，流量模式也可能是一个赠品 - 您的热点具有与您的设备不同的签名。

与其对抗您的系统管理员（这是双方的 PITA），不如与他交谈。我不知道为什么他们有“每个学生一个 MAC”的规则，也许他们可以放松一点？说，“每个学生两个或三个 MAC”。管理起来没有更多的麻烦。

我不知道在你的大学里学生代表的政治方面是如何运作的，但学生们通常可以以某种方式表达他们的兴趣。是的，这比设置热点要慢，但也更有效。

Answer 3

我曾经是一所大学的网络管理员助理。这听起来像是代际差异问题，或者学校的网络无法为每个学生、教职员工等处理超过 1 个设备。可能每个学生拥有的设备数量超过政策允许的数量。

简短的回答是，他们可以检测到未经授权的访问。不，不要这样做。我经常因网络违规（文件共享、非法软件、病毒、计算机实验室中的色情内容等）而取消访问权限。其中许多学生不得不离开学校，因为没有电脑上的大学是相当困难的。学生们使网络面临风险。如果某人的未经授权的设备通过了一种病毒来清除您的博士研究和论文怎么办？如果您现在认为这是一个笑话，请在工作中尝试一下，看看会发生什么。

与网络管理员、学生会、行政部门等合作，为不需要在学校网络和/或公共区域（如大多数咖啡店的免费 wifi）的“您的其他设备”获得额外的无线访问）。这可以防止“实际”学校网络的负载，并且仍然为您提供所需的互联网访问权限。

Answer 4

我可以想到一些方法来检测网络中的这种行为。当他们真正应该做的是通过端口而不是 mac 限制连接时，这种限制并不是一个很好的限制，但这是他们的网络和他们的规则，即使如果您要欺骗其他人，它确实会创建一种简单的（有针对性的）拒绝服务攻击MAC地址。

以https://networkengineering.stackexchange.com/questions/123/how-do-you-prevent-rogue-wireless-access-points-on-a-network作为起点，似乎很明显，任何体面的无线基础设施都会能够检测流氓热点（即使是 dd-wrt ​​盒也可以进行无线调查以查看周围还有什么。）

由于管理员控制流量，因此也可以使用 Snort 之类的 IDS 工具，如果管理员热衷于寻找不合规的人，它会很快放弃。一些协议甚至不隐藏它们通过 NAT 运行（RFC7239具有 http 标头，例如X-Forwarded-For专门供 Web 代理使用。） RFC2821建议 SMTP 客户端发送可选标识符，尽管它不是强制性的。

您真正可以隐藏类似内容的唯一方法是让连接到其网络的设备将所有内容发送到 VPN 或系统（如 TOR），这本身会引起您的注意。

虽然情况并不完全相同，因为它们似乎没有相同的限制，但剑桥大学的安全团队确实不赞成在其网络中使用 NAT，如防火墙和网络地址转换策略中所见，并提供了一些有关其推理的背景.

TL;DR - 如果您想使用更多设备，那么您需要通过系统和学生代表来解决您面临的问题，因为如果您的管理员想抓住您，那么他们会。

Answer 5

我的网络使用的系统在整个建筑物中都有探测器，如果出现流氓 SSID，它实际上会三角测量设备的位置。该系统并不便宜，但天哪，如果您将手动管理 MAC 地址所花费的时间加起来，从长远来看，它可能更具成本效益；那一定是一场行政噩梦。在锁定系统的所有方法中，我真的想不出更糟糕的方法。

正如其他人所说，与管理员合作，不要试图打败他们。使用当今可用的技术，您甚至不需要优秀的网络管理员来抓住您。尝试更改策略，查看是否允许例外等。最终您会过得更好。